디지털 운영 복원력 법(DORA) EU

DORA란 무엇인가요?

디지털 운영 복원력 법(Digital Operational Resilience Act, DORA)은 EU 금융 부문을 위한 구속력 있는 포괄적인 정보 통신 기술(ICT) 위험 관리 프레임워크를 만드는 유럽연합(EU) 규정입니다. DORA는 규정의 간극, 중복 및 충돌을 해결하기 위한 통합 프레임워크를 구축하여 규정 준수 부담을 줄이고 EU 금융 시스템의 복원력을 강화합니다.

DORA는 2025년 1월 17일에 발효되었습니다.

DORA의 목적

DORA 이전에 EU 규정은 주로 운영 위험에 대한 자본에 초점을 맞췄으며, 국가 간에 ICT 및 보안 지침이 일치하지 않았습니다. DORA는 금융 서비스 부문의 ICT 위험 관리를 개선하고 EU 회원국 간에 규정을 조화시키는 것을 목표로 합니다.

DORA는 규제 요구 사항의 효과적인 이행에 대한 조화로운 표준 및 실용적인 지침을 제공하는 여러 구속력 있는 규제 기술 표준(RTS) 및 이행 기술 표준(ITS)으로 보완됩니다.

DORA 범위

DORA는 은행, 신용 및 결제 기관, 투자 회사, 거래소, 중앙 증권 예탁원 등 광범위한 금융 기관과 암호화 자산 서비스 제공업체, 크라우드 펀딩 플랫폼을 비롯한 비전통적인 기관에 적용됩니다. AIFMD 제3조 2항에 따라 면제 자격이 있는 대체투자펀드 매니저와 규모, 위험 프로필, 운영 복잡성에 따라 특정 기준을 충족하는 소규모 비복합 기관의 경우 면제를 받을 수 있습니다.

DORA의 독특하고 영향력 있는 측면 중 주목해야 할 점은 금융 기관뿐만 아니라 클라우드 서비스 제공업체 및 데이터 센터와 같은 금융 부문에 서비스를 제공하는 주요 ICT 제공업체에도 적용된다는 점입니다.

DORA 시행

DORA는 유럽중앙은행(European Central Bank, ECB) 및 각 EU 회원국의 지정된 규제 기관('국가 관할 당국' 또는 NCA로 알려짐)에서 시행합니다. ECB와 국가 관할 당국은 금융 기관에 특정 위험 관리 및 보안 조치를 취하고 취약점을 해결하도록 요청할 수 있습니다. 또한 감독 기대치를 충족하지 않는 기업에 대해 행정 및 형사 처벌을 부과할 수 있는 권한이 있습니다. 각 회원국은 자국의 관할 당국이 처벌을 부과하는 방식에 대해 재량권을 행사할 수 있습니다.

DORA에 따라 '중요'하다고 간주되는 ICT 제공업체는 유럽감독기관(European Supervisory Authorities, ESA)의 책임 감독관이 직접 감독합니다. 국가 관할 당국과 마찬가지로 책임 감독관은 취약점을 해결하거나 규정 미준수 ICT 제공업체를 처벌하기 위해 구체적인 보안 예방 및 시정 조치를 취할 것을 요청할 수 있습니다. DORA를 통해 책임 감독관은 ICT 제공업체에 이전 사업연도의 전 세계 일일 평균 매출액의 1%에 해당하는 벌금을 부과할 수 있습니다. 제공업체는 책임 감독관의 기대치를 충족할 때까지 최대 6개월 동안 매일 벌금을 내야 할 수 있습니다.

DORA 요구 사항

DORA는 다음 네 가지 영역에 걸쳐 금융 기관 및 ICT 제공업체에 대한 기술 요구 사항을 설정합니다.

ICT 위험 관리 및 거버넌스
인시던트 대응 및 보고
디지털 운영 복원력 테스트
서드파티 위험 관리

다섯 번째 영역은 정보 공유를 다루는데, 이는 다른 네 가지 영역과 달리 권장되지만 의무적이지는 않습니다.

DORA에 포함된 금융 기관은 ICT 제3자 위험 관리에 활발한 역할을 할 것으로 예상됩니다. 중요한 기능을 아웃소싱할 때 금융 기관은 무엇보다도 데이터 접근성, 무결성 및 보안에 대한 출구 전략, 감사 및 성과 목표에 관한 구체적인 계약 사항을 협상해야 합니다. 기업은 이러한 요구사항을 충족할 수 없는 ICT 제공업체와 계약을 맺을 수 없습니다. ECB와 국가 관할 당국은 이를 준수하지 않는 계약을 중단하거나 종료할 수 있는 권한을 갖습니다. 유럽위원회(European Commission)는 기업 및 ICT 제공업체가 계약이 DORA를 준수하도록 보장하는 데 사용할 수 있는 표준화된 계약 조항의 초안을 작성할 가능성을 모색하고 있습니다.

또한 금융 기관은 제3자 ICT 종속성을 매핑해야 하며, 중요한 기능이 단일 제공업체 또는 소수의 제공업체 그룹에 과도하게 집중되지 않도록 해야 합니다.

주요 ICT 제3자 서비스 제공업체는 관련 ESA의 직접적인 감독을 받게 됩니다. 유럽위원회는 어떤 제공자가 중요한지 결정하기 위한 기준을 계속 개발하고 있습니다. 표준을 충족하는 기업에는 ESA 중 한 곳이 책임 감독관으로 지정됩니다. 책임 감독관은 중요 제공업체에 DORA 요구사항을 시행하는 것 외에도 제공업체가 DORA 요구사항을 준수하지 않는 금융회사 또는 기타 ICT 제공업체와 계약을 체결하는 것을 금지할 수 있는 권한을 갖게 됩니다.

유용한 리소스

DORA는 기업의 경영진이 ICT 관리를 책임지도록 합니다. 이사회 구성원, 경영진 및 기타 고위 관리자는 적절한 위험 관리 전략을 정의하고 실행을 적극적으로 지원하며 ICT 위험 환경에 대한 최신 지식을 유지해야 합니다. 관리자는 기업의 규정 준수 실패에 대해 책임져야 할 수도 있습니다.

대상 기업은 포괄적인 ICT 위험 관리 프레임워크를 개발해야 합니다. 기업은 ICT 시스템을 매핑해야 합니다. 중요한 자산과 기능을 식별하고 분류합니다. 자산, 시스템, 프로세스 및 공급자 간의 종속성을 문서화합니다. 기업은 ICT 시스템에 대한 지속적인 위험 평가를 수행하고, 사이버 위협을 문서화 및 분류하고, 확인된 위험을 완화하기 위한 단계를 문서화해야 합니다.

위험 평가 프로세스의 일환으로 기업은 비즈니스 영향 분석을 수행하여 특정 시나리오와 심각한 중단이 비즈니스에 어떤 영향을 미칠 수 있는지 평가해야 합니다. 기업은 이러한 분석 결과를 사용하여 위험 허용 수준을 설정하고 ICT 인프라 설계를 알려야 합니다.또한 기업은 확장 탐지 및 대응 시스템, 보안 정보 및 이벤트 관리(SIEM) 소프트웨어, 보안 오케스트레이션, 자동화 및 대응(SOAR) 도구와 같은 기술적 제어와 함께 ID 및 액세스 관리 정책, 패치 관리 등 적절한 사이버 보안 보호 조치를 구현해야 합니다.

또한 기업은 ICT 서비스 장애, 자연재해, 사이버 공격 등 다양한 사이버 위험 시나리오에 대비한 비즈니스 연속성 및 재해 복구 계획을 수립해야 합니다. 이러한 계획에는 데이터 백업 및 복구 조치, 시스템 복원 프로세스, 영향을 받는 고객, 파트너 및 당국과의 통신 계획이 포함되어야 합니다.

대상 기관은 ICT 관련 사고를 모니터링, 관리, 기록, 분류 및 보고하기 위한 시스템을 구축해야 합니다. 인시던트의 심각도에 따라 기업은 규제 기관과 영향을 받는 고객 및 파트너 모두에게 보고해야 할 수 있습니다. 기관은 중대한 인시던트에 대해 당국에 알리는 초기 보고서, 인시던트 해결 진행 상황에 대한 중간 보고서, 인시던트의 근본 원인을 분석하는 최종 보고서 등 세 가지 종류의 보고서를 제출해야 합니다.

인시던트를 분류하는 방법, 보고해야 하는 인시던트, 보고 일정에 대한 규칙이 곧 발표될 예정입니다. 또한 ESA는 중앙 허브와 공통 보고서 템플릿을 구축하여 보고를 간소화하는 방법을 모색하고 있습니다.

기업은 보호 강도를 평가하고 취약점을 식별하기 위해 ICT 시스템을 정기적으로 ‌테스트해야 합니다. 이러한 테스트 결과와 발견된 약점을 해결하기 위한 계획은 관련 관할 당국에 보고되고 검증되어야 합니다.

기업은 1년에 한 번씩 취약점 평가 및 시나리오 기반 테스트와 같은 테스트를 수행해야 합니다. 금융 시스템에서 중요한 역할을 하는 것으로 판단되는 금융 기관도 3년마다 위협 기반 침투 테스트(TLPT)를 받아야 합니다. 기업의 주요 ICT 제공업체도 이러한 침투 테스트에 참여해야 합니다. 2025년 1월 23일, ECB 집행위원회는 위협 인텔리전스 기반 윤리적 레드팀 구성을 위한 Threat Intelligence-based Ethical Red Teaming (TIBER)-EU 프레임워크를 승인했습니다. 이는 2025년 1월 17일 DORA의 발효를 고려하여 위협 주도 침투 테스트에 대한 DORA 규제 기술 표준과 완전히 일치하도록 하기 위한 것입니다. 업데이트된 TIBER-EU 프레임워크 및 지침 문서는 ECB 웹사이트에서 확인할 수 있습니다.

금융 기관은 내부 및 외부 ICT 관련 인시던트로부터 학습할 수 있는 프로세스를 수립해야 합니다. 이를 위해 DORA는 기업이 자발적인 위협 인텔리전스 공유 협약에 참여하도록 권장합니다. 이러한 맥락에서 공유되는 모든 정보는 관련 가이드라인에 따라 보호되어야 합니다. 예를 들어 개인 식별 정보는 여전히 일반 데이터 보호 규정(GDPR)의 고려 대상입니다.

IBM Cloud 및 DORA

IBM Cloud는 고객이 운영 중단에 직면했을 때 디지털 운영 복원력을 강화하고 DORA 의무를 이행할 수 있도록 지원하기 위해 최선을 다하고 있습니다. 오랜 역사와 세계에서 가장 유명한 금융 서비스 조직의 현대화 여정에서 쌓은 전문 지식을 바탕으로 IBM은 고객이 성장을 주도하는 동시에 위험을 줄이고 DORA 준수를 포함하여 진화하는 규제 환경에 적응할 수 있도록 지원하기 위해 노력하고 있습니다.

클라우드 서비스 제공업체(CSP)로서 DORA는 다음의 두 가지 방식으로 IBM Cloud에 영향을 미칩니다.

간접적 방식 - 고객과 IBM 간에 그리고 IBM과 제공업체 간 모두에서 IBM과 금융 기관(FE) 고객 모두가 계약의 내용 및 전반적인 처리뿐만 아니라 정책 및 절차 개정, ICT 시스템의 보안, 안정성, 복원력 관리를 위한 툴 조정 등의 조치를 취해야 하는 경우.

직접적 방식 -IBM Cloud가 FE 고객에게 ICT 서비스를 제공할 때 IBM과 IBM Cloud가 DORA에 따라 감독이 필요한 주요 ICT 제3자 서비스 제공업체(CTPP)로 지정될 수 있는 경우.

현재까지 IBM은 EU 당국에 의해 주요 ICT 제공업체로 공식 지정되지 않았습니다. 그러나 IBM Cloud는 IBM이 관할 당국에 의해 주요 ICT 제3자 서비스 제공업체(CTPP)로 지정될 경우를 대비하여 잠재적인 직접 요구 사항을 해결하기 위한 사전 준비를 하고 있습니다.

IBM Cloud를 통한 운영 복원력 지원

위험 관리

솔루션 설계

운영

연속성 및 복구

IBM Cloud는 고객이 위험 기반 의사 결정을 내릴 때 정보를 활용할 수 있도록 지원합니다. IBM의 설명서는 각 클라우드 서비스에 대한 자세한 정보를 제공하여 내장된 서비스 복원력 조치를 강조하고 고객이 계획되지 않은 잠재적 중단에 대처할 수 있도록 설계하는 데 도움을 줍니다. 탄탄한 역량의 증거로서 상세한 규정 준수 설명서가 포함되어 있습니다. 또한 IBM Cloud Security and Compliance Center Workload Protection은 IBM Cloud 리소스와 멀티 클라우드 환경의 리소스에 대해 IBM Cloud Framework for Financial Services, DORA, PCI 및 기타 여러 업계 관련 표준 또는 모범 사례 표준에 대한 규정 준수 점검을 자동화합니다.

IBM Cloud는 고객이 요구 사항에 가장 적합한 탄력적인 구현을 설계할 수 있도록 강력한 플랫폼을 제공합니다. IBM의 다중 영역 지역은 다양한 지리적 위치와 Identity and Access Management, IBM Cloud Databases, 컨테이너 서비스(Kubernetes 및 Red Hat OpenShift), 다양한 스토리지 서비스, Virtual Private Cloud 등 고가용성 글로벌 및 교차 지역 서비스를 제공함으로써 가장 까다로운 워크로드에 대한 애플리케이션 복원력 및 규정 준수 요구 사항을 충족합니다. 또한 참조 아키텍처와 모범 사례 지침을 바탕으로 지역 간 재해 복구를 구축하여 다양한 시나리오를 완화할 수 있습니다.

안정성은 중요합니다. 따라서 IBM Cloud는 EaC(Everything as Code) 및 배포 가능 아키텍처(IBM Cloud Schematics를 통해 구현)부터 고가용성 네트워크 아키텍처와 최첨단 IBM Cloud Monitoring에 이르기까지 고객이 필요로 하는 복원력 기능을 갖출 수 있도록 보장합니다. Virtual Private Cloud, IBM Kubernetes Service, Red Hat OpenShift on IBM Cloud, IBM Cloud Databases를 비롯한 많은 서비스의 자동 스케일링(auto-scaling) 기능은 워크로드가 최대 수요를 충족할 만큼 충분한 용량을 확보할 수 있도록 보장하며, 여러 영역 또는 지역 간에 부하를 쉽게 분산할 수 있습니다. 한편, Continuous Delivery 툴체인으로 구현된 DevSecOps 관행은 자동화된 릴리스 관리와 설계에 따른 보안 관행을 강화합니다.

운영 복원력 규정의 기본 전제는 모두가 최선의 노력을 기울이더라도 인시던트와 계획되지 않은 중단이 발생한다는 점입니다. 따라서 이러한 상황의 발생과 그 영향을 줄임으로써 이에 대처하는 방법이 가장 중요합니다. IBM은 정기적으로 BCDR 테스트를 실시하여 고객 영향 허용 목표와 결과를 지원하는 프로세스가 직원 교육 인식 및 지속적인 개선에 반영되도록 보장합니다. 인시던트가 발생하면 영향을 받는 고객에게 적시에 인시던트 알림을 제공하고 근본 원인 분석을 수행하여 적절한 결과를 공유합니다. 많은 IBM Cloud 서비스는 공동 책임 모델에 따라 고객 데이터를 지역 간 Object Storage 버킷에 자동으로 백업하여 재해 발생 시 두 번째 지역으로 복구할 수 있도록 지원합니다.

1. ICT 위험 관리

Cloud Pak for Security

보안

기존 보안 툴을 통합하여 위협과 위험에 대한 더 깊은 인사이트를 확보하고 조치를 조율하며 대응을 자동화합니다.

디지털 운영 복원력 법(EU)

리소스